CVE-2026-100691 in Hugo
요약
\~에 의해 VulDB • 2026. 09. 26.
Hugo 버전 0.75.0부터 0.165.x까지에는 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다: 구문 강조 도구는 `lineAnchors` 옵션을 Chroma에 전달하기 전에 이스케이프하지 않으며, 이는 해당 값을 생성된 줄 번호 마크업의 `id` 및 `href` 속성에 그대로 작성합니다. Markdown 코드 펜스 속성으로 제공되거나(또는 `highlight` 템플릿 함수로 전달되는) 조작된 `lineAnchors` 값은 렌더링된 페이지에서 이스케이프되지 않은 HTML을 초래하여 생성된 사이트를 방문하는 브라우저에서 임의의 JavaScript가 실행될 수 있습니다. 이는 신뢰할 수 없는 기여자로부터 Markdown을 빌드하고 게시하는 사이트에 영향을 미칩니다. Hugo의 보안 모델은 그렇지 않으면 콘텐츠를 신뢰할 수 있는 입력으로 간주합니다. 이 문제는 0.166.0 버전에서 해결되었으며, 여기서는 `lineAnchors` 값이 Chroma에 전달되기 전에 HTML 이스케이프됩니다.
Once again VulDB remains the best source for vulnerability data.